BCRP regula pagos digitales en Perú

Timeline de la operación

Cadena de ataque y TTPs

Aunque el material no describe un ataque cibernético, sí permite reconstruir una cadena regulatoria y operativa que funciona como un flujo de control sobre la adquirencia digital. El primer eslabón es la afiliación del comercio, porque el reglamento fija requisitos mínimos para evaluar y dar de alta a los comercios. Después aparece la recepción de fondos por parte del Aceptador de Pagos, su custodia en cuentas específicas y la conciliación diaria entre saldos y obligaciones de liquidación. El último tramo es la transferencia final al comercio, acompañada por obligaciones de transparencia, contratos claros y mecanismos de resolución de controversias.

Desde una perspectiva técnica, el eje de riesgo no es la explotación de una vulnerabilidad clásica, sino la falla de segregación patrimonial, la opacidad contractual y el descalce entre fondos recaudados y fondos por liquidar. El reglamento responde a ese riesgo con controles de separación de cuentas, uso exclusivo de ciertas cuentas para la recepción y transferencia de fondos, publicación de tarifas y comisiones, y criterios mínimos sobre comisiones e intercambio cuando una infraestructura interviene en la operación. La conciliación diaria funciona como control de integridad operativo contable.

El material también muestra una maduración del modelo de supervisión. El BCRP no se limita a una definición conceptual del servicio, sino que impone obligaciones de gobernanza y exposición de información. Eso es consistente con un mercado donde pagos con QR, tarjetas y transferencias inmediatas conviven con múltiples actores, y donde la interoperabilidad deja de ser una aspiración para convertirse en una exigencia regulatoria. La hoja de ruta de open banking citada por Ligopay, con un posible modelo de iniciación de pagos en una Fase 4, sugiere que este esquema puede evolucionar hacia un entorno todavía más integrado.

Impacto regional

Panorama regional

El cambio regulatorio es peruano, pero su lectura regional es clara: el BCRP está llevando el sector de pagos digitales hacia un modelo más normado, con reglas comunes para adquirencia, recaudación, transparencia y custodia de fondos. Para la región, el caso importa porque fija un patrón de supervisión sobre empresas que intermedian pagos de comercios y sobre las infraestructuras que los procesan. También dialoga con la tendencia de interoperabilidad y open banking mencionada en el material.

La referencia a una futura Fase 4 de iniciación de pagos, incluida en el análisis de Ligopay, sugiere una arquitectura cada vez más cercana a esquemas de pago iniciados desde cuentas bancarias o dinero electrónico con capacidad de conectar distintos actores. En ese escenario, la regulación de aceptación de pagos no sería un punto final, sino una capa intermedia dentro de una agenda mayor de interoperabilidad. La señal es que el mercado de pagos en Perú ya está siendo preparado para una integración más profunda entre adquirencia, recaudación, cuentas y canales digitales.

Perú

Perú concentra todo el impacto verificable del material. El BCRP aprobó la Circular N.° 0026-2026-BCRP, que crea el Reglamento del Servicio de Aceptación de Pagos y fija un marco específico para adquirencia y recaudación de fondos en el Sistema Nacional de Pagos. El alcance incluye proveedores de servicios de pago e infraestructuras de pagos, además de sus administradores y participantes directos e indirectos.

El efecto más sensible está en la administración de fondos. Los recursos que los aceptadores reciben en representación de los comercios deben preservarse en cuentas separadas de sus fondos propios, con uso exclusivo para recepción y transferencia, y con conciliación diaria. La prensa también reportó que las cuentas pueden estar en empresas del sistema financiero con calificación no inferior a B+ o en emisores de dinero electrónico participantes del Sistema LBTR. Ese diseño busca blindar el dinero de los comercios durante la etapa previa a la liquidación.

En paralelo, la norma fuerza transparencia de mercado. Los contratos deben indicar comisiones, condiciones, plazos de liquidación, responsabilidades y mecanismos de controversia. Los administradores de infraestructuras y los aceptadores deben publicar información relevante sobre tarifas y comisiones. Forbes Perú añadió que las tarifas de intercambio, cuando haya infraestructura de pagos de por medio, deberán obedecer criterios objetivos, transparentes, proporcionales y no discriminatorios. Ese punto no es menor, porque introduce un criterio competitivo que afecta la relación entre adquirentes, aceptadores e infraestructuras.

El calendario de adecuación es la otra variable clave. La vigencia se fijó para el 1 de enero de 2027 y varias notas subrayaron que habrá tiempo para adaptar entidades, contratos y procesos. Eso significa que el mercado tiene un tramo concreto para alinear conciliación, segregación de fondos, reportes operativos, documentos contractuales y publicación de tarifas. A nivel institucional, el reglamento completa la arquitectura abierta por la norma marco de abril de 2026.

Argentina

No se verificaron hechos adicionales para Argentina en el material provisto.

Chile

No se verificaron hechos adicionales para Chile en el material provisto.

Paraguay

No se verificaron hechos adicionales para Paraguay en el material provisto.

Bolivia

No se verificaron hechos adicionales para Bolivia en el material provisto.

Colombia

No se verificaron hechos adicionales para Colombia en el material provisto.

Brasil

No se verificaron hechos adicionales para Brasil en el material provisto.

México

No se verificaron hechos adicionales para México en el material provisto.

USA

No se verificaron hechos adicionales para Estados Unidos en el material provisto.

Uruguay

No se verificaron hechos adicionales para Uruguay en el material provisto.

Indicadores técnicos

No se publicaron IOCs técnicos en el material disponible. El expediente aporta identificadores normativos y regulatorios, como la Circular N.° 0026-2026-BCRP, la Circular N.° 0022-2025-BCRP y la Resolución SBS N.° 02326-2026, pero no incluye dominios, IPs, hashes, muestras, artefactos maliciosos ni indicadores de compromiso de naturaleza forense.

Análisis para equipos de seguridad

Para equipos de seguridad, el punto de partida no es buscar malware, sino revisar la capa operativa y contractual de los flujos de pago. El reglamento del BCRP obliga a separar fondos, conciliar saldos a diario, transparentar comisiones y formalizar condiciones de servicio. Eso exige controles sobre conciliación contable, segregación de cuentas, gestión documental y monitoreo de excepciones en la liquidación a comercios.

La primera prioridad es validar si los procesos internos distinguen de manera efectiva entre fondos de terceros y fondos propios. Donde existan cuentas recaudadoras, la revisión debe incluir accesos, conciliaciones automáticas, reglas de transferencia y alertas por desvíos. Si la entidad opera como aceptador de pagos o depende de terceros para liquidar ventas de comercios, la superficie de riesgo no está solo en tecnología, sino también en tesorería, cumplimiento y atención de reclamos.

La segunda prioridad es contractual. El reglamento exige que los contratos con comercios incluyan comisiones, plazos, responsabilidades y mecanismos de controversia. Los equipos que gestionan proveedores o terceros deben revisar si la documentación vigente ya cubre esos puntos o si necesita una actualización antes del 1 de enero de 2027. Cualquier omisión puede convertirse en un problema de cumplimiento, pero también en un foco de fricción operativa y reputacional.

La tercera prioridad es la gobernanza de tarifas y de infraestructura. Si la operación usa una infraestructura de pagos, las tarifas de intercambio deben alinearse con criterios objetivos, transparentes, proporcionales y no discriminatorios. Eso obliga a mapear dependencias entre aceptadores, adquirentes, procesadores y administradores de infraestructura. También abre una línea de trabajo para detectar conflictos en la formación de precios y en el acceso a condiciones equivalentes.

La cuarta prioridad es el período de adecuación. La entrada en vigor en enero de 2027 no deja mucho margen para rediseñar sistemas, publicar información, ajustar conciliaciones y reescribir contratos. En la práctica, el trabajo debería concentrarse en inventario de flujos, documentación de cuentas, parametrización de conciliaciones, revisión de SLA y evidencia de publicación de comisiones. Si la organización participa en múltiples tramos del proceso, conviene separar responsabilidades por rol regulatorio antes de la fecha de corte.

Preguntas frecuentes

¿Qué cambia entre la norma marco de abril de 2026 y el reglamento de octubre de 2026?

La norma marco del Sistema Nacional de Pagos creó el paraguas regulatorio general y la figura de las Entidades de Servicios de Pago. El reglamento de octubre de 2026 baja a terreno una actividad concreta, la aceptación de pagos de comercios, y fija reglas sobre fondos, comisiones, contratos e interoperabilidad.

¿Qué deben hacer los aceptadores de pagos con el dinero que reciben de los comercios?

Deben mantener esos fondos en cuentas separadas de sus propios recursos, con destino exclusivo a recibir y transferir el dinero de los comercios, y realizar conciliación diaria entre el saldo de la cuenta y sus obligaciones de liquidación. Esa exigencia cruza la sección de contexto y el impacto en Perú.

¿A quiénes alcanza la regulación del BCRP?

A proveedores de servicios de pago que ofrezcan o intervengan en el Servicio de Aceptación de Pagos, y también a las infraestructuras de pagos, con sus administradores y participantes directos e indirectos. La cobertura periodística agrega que aplica a empresas que procesan pagos por tarjetas, QR, pagos inmediatos y otros canales.

¿Qué elementos contractuales deberán ver los comercios antes de enero de 2027?

Los contratos deberán indicar con claridad las condiciones del servicio, las comisiones aplicables, los plazos de liquidación, las responsabilidades de cada parte y los mecanismos de atención de controversias. Esa obligación aparece junto con la publicación de tarifas y con los requisitos mínimos sobre afiliación y reclamos.

¿Qué plazos de vigencia y adecuación informó la prensa?

La entrada en vigor quedó fijada para el 1 de enero de 2027. Varias coberturas, como El Comercio, Gestión, La República e Infobae, señalaron además que habrá un período de adecuación para que las entidades comprendidas ajusten sus procesos antes de esa fecha.

Limitaciones del material

El material no incluye el texto íntegro de la Circular N.° 0026-2026-BCRP, por lo que no puede reconstruirse artículo por artículo ni detallar excepciones normativas específicas más allá de lo difundido por las notas periodísticas y legales disponibles. Tampoco hay información oficial verificable sobre sanciones, umbrales cuantitativos de capital, métricas de supervisión o cronogramas internos de implementación por tipo de entidad.

No se verificaron IOCs técnicos, incidentes de seguridad, víctimas, atribuciones ni campañas maliciosas asociadas al objeto de esta investigación. Los únicos identificadores disponibles son normativos. En el plano regional, solo Perú aporta hechos concretos; los demás países de la estructura de impacto regional no ofrecen material verificable en el expediente provisto.